Veille sécuritéFrontend
P4Moyenne
Dans Frappe LMS, un utilisateur authentifié disposant d’un rôle d’édition de cours peut injecter du JavaScript dans des champs de métadonnées, provoquant une XSS stockée lors de leur affichage. Le problème est corrigé dans la version 2.52.0.
JavaScript
IdentifiantCVE-2026-39375
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.52.0
Source : NVD — CVE-2026-39375
Analyse technique
Les valeurs des champs meta tag ne sont pas suffisamment assainies et ne sont pas échappées de manière sûre lors du rendu.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-30; la description fournie identifie la vulnérabilité et sa version corrective.
ImpactExécution de scripts dans le contexte du navigateur des utilisateurs consultant les données concernées.
Versions affectéesVersions antérieures à 2.52.0
Version corrigée2.52.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.1
Publication2026-10-30T17:17:23.337Z
Mise à jour2026-10-30T19:39:14.897Z
Action recommandée
Mettre à niveau Frappe LMS vers la version 2.52.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).